内网安全,站在十年的路口

什么是内网安全？这个名词我们经常听说,却没有人能说出它的准确定义,即使是在维基百科和百度百科中也查找不到准确的结果。可是,这个概念从诞生至今已有十年的历史,它就像一个神秘的影子伴随着企业不断成长,我们都知道它在,却不知它究竟是谁。

什么是内网安全？这个名词我们经常听说，却没有人能说出它的准确定义，即使是在维基百科和百度百科中也查找不到准确的结果。可是，这个概念从诞生至今已有十年的历史，它就像一个神秘的影子伴随着企业不断成长，我们都知道它在，却不知它究竟是谁。

一般而言，人们通常以企业网络边界为限将网络划分为内、外网，内网安全指的就是在内网中与安全相关的内容。由于IT技术变化很快，每隔一段时间就会出现新的技术和新的安全威胁，因此内网安全这个概念的内涵自诞生以来就不断的在发生改变。从网络访问控制到各种漏洞的封堵、从员工行为管理到桌面管理、从加密到融审计、监控、加密于一体的整体信息防泄漏，十年之间，内网安全走过了由技术到产品、由产品到方案、由方案到体系的发展之路。

内网安全的发展并非一帆风顺，经历过波折和争论，辉煌和失落，直到今天，仍存在诸多争议。站在内网安全发展十年的路口，我们不禁再次追问：内网安全究竟是人的问题还是技术的问题？实现信息防泄漏管理，是利用单个功能的产品来搭建体系好，还是采用全套解决方案更佳？加密是不是解决信息泄漏问题的终极武器？行为审计究竟有没有侵犯隐私？层出不穷的泄密事件反映出内网安全的哪些风险，我们能从中学到什么？如何评估一个信息防泄漏方案的好坏？太多的问题值得我们思考。正所谓“以史为鉴，可以知兴替”，回顾内网安全的发展史，或许能找到属于您的答案。

内网安全概念初现

2000年左右，中国基础网络建设已经比较完善，PC也已经成为一种常见的设备，基于网络的应用大量涌现，很多企事业单位已经进入到网络应用的阶段，办公自动化开始普及。 网络和办公自动化的普及，为病毒等安全威胁的快速传播提供了现实基础。当时企业级防护手段还是以防火墙为代表的边界防护，一旦病毒越过防火墙，就会在内网中快速传播，由于大多数用户对计算机的认知程度不高，缺乏防护意识，加之条件有限，难以保证系统补丁、软件升级的及时性，使得企业内网毫无抵抗力。人们发现，依靠单一的防火墙、防病毒软件无法应付病毒威胁，只有在将每个客户端都保护起来才能有效防止病毒入侵。随着相关需求的大量产生，市面上出现了包括控制非法接入、控制非法外连、设备加密、补丁分发等功能内网安全产品，主要解决桌面安全防护问题，内网安全的前身就此显现。在这个阶段，内网安全产品主要还是以系统功能增强为主，管理方面的能力较弱。

关注“人”的风险

2002年，美国“安然”“世通”丑闻爆发，2004年，美国证券市场开始实施针对上市公司财务和公司治理的Sarbanes-Oxley（塞班斯法案）。其中要求上市公司的内控管理必须切实做到保护财务数据、维护系统安全、保护客户数据免遭盗窃与破坏以提高公司披露的准确性和可靠性。内控从此成为人们关注的焦点，随之而来的针对邮件、网络等IT系统的审计要求使得邮件监控、网络监控、行为审计等产品成为热潮。

塞班斯法案从法规遵从的角度对上市企业的内控提出了明确要求，但内控并非只有上市公司才需要。在2005年左右，众多企业发现员工会在工作时间内通过互联网访问无关信息，这不仅降低了工作效率，还使得钓鱼欺诈、病毒、木马等安全威胁轻易的进入企业内网，内部泄密也变得轻而易举，传统的管理手段根本无法应对。如何对上网行为进行限制和管理成为了企业信息安全建设的燃眉之急，于是“上网行为管理”也在这一时期得到了快速发展。 从此时开始，内网安全不单单关注技术风险，也开始关注“人”的风险。行为监控和审计的出现标志着内网安全产品从单纯的“技术”走向了“管理”，但是，这一步走得并不轻松。

以现在的眼光来看，监控和审计是一种内控的必要手段，但是在当时，国人对于“隐私”的理解非常粗浅，而且企业的管理水平普遍较低，员工对于“监控”和“审计”有着非常强烈的抵触情绪。“监控”和“审计”源于美国，而此时的中国无论是企业发展水平还是员工